Les cookies tiers disparaissent de certains navigateurs, mais le suivi qu'ils assuraient n'a pas disparu avec eux. Il s'est déplacé vers des méthodes plus difficiles à voir et à bloquer pour le visiteur. On a beaucoup répété que le cookie tiers était mort. La réalité est plus utile à comprendre. Safari d'Apple bloque les cookies tiers par défaut depuis 2020, et Firefox de Mozilla les isole au site qui les a déposés depuis 2022. Google Chrome, le navigateur le plus utilisé du web, a pris un autre chemin : en octobre 2025, il a abandonné la majeure partie de son projet Privacy Sandbox et choisi de conserver les cookies tiers, encadrés par des réglages utilisateur. Le cookie n'a pas disparu. Ce qui a changé, c'est que l'industrie de la publicité et de la mesure, anticipant sa disparition, avait déjà déplacé son suivi vers d'autres techniques. Ce sont ces techniques qu'examine ce guide.
Ce guide explique comment fonctionne le suivi en ligne après le cookie tiers, en termes simples, pour les personnes qui exploitent un site plutôt que pour celles qui conçoivent les systèmes de suivi. Il cartographie les principales méthodes en usage aujourd'hui, ce que fait chacune, à quel point elle est visible pour vos visiteurs, et si elle requiert toujours leur consentement. C'est un guide sur les mécanismes. Les questions juridiques, quelles lois s'appliquent et quelles sont vos obligations précises, relèvent de votre délégué à la protection des données ou de votre conseil juridique, et nous ne les abordons qu'au niveau utile à un non-spécialiste. Lorsqu'un point dépend du droit, nous le signalons.
À retenir
- Les cookies tiers sont bloqués par défaut sur Safari et isolés à un seul site sur Firefox. Chrome les a conservés en octobre 2025, mais le suivi s'était déjà déplacé ailleurs.
- Les principales méthodes qui ont remplacé ou complété les cookies sont le fingerprinting, le suivi côté serveur et les données first-party ou « consenties ».
- La plupart de ces méthodes exigent toujours un consentement. Le consentement porte sur la finalité du suivi, pas sur le cookie en tant que technologie.
- Le fingerprinting et le suivi côté serveur sont plus difficiles à voir et à bloquer pour le visiteur que les cookies ne l'ont jamais été.
Le cookie en une minute
Un cookie est un petit fichier qu'un site enregistre dans votre navigateur pour vous reconnaître plus tard. Un cookie first-party (de première partie) est déposé par le site que vous visitez réellement. C'est lui qui vous garde connecté et qui retient le contenu de votre panier. Un cookie tiers est déposé par un autre domaine dont le code s'exécute sur la page, le plus souvent une régie publicitaire ou un outil de mesure. Comme un même réseau publicitaire apparaît sur des milliers de sites, son cookie tiers pouvait suivre une personne de site en site et reconstituer le profil de ce qu'elle lisait et achetait.
C'est ce profilage entre sites que les éditeurs de navigateurs ont combattu. Safari d'Apple bloque les cookies tiers par défaut depuis mars 2020, dans le prolongement de son dispositif Intelligent Tracking Prevention lancé en 2017. Firefox de Mozilla a activé la Total Cookie Protection pour tous ses utilisateurs en 2022, qui isole les cookies au site qui les a déposés. Google Chrome a promis pendant des années de supprimer les cookies tiers, avant de faire marche arrière et, en octobre 2025, de les conserver. Les cookies first-party n'ont jamais été visés et restent d'usage courant partout.
Où le suivi s'est déplacé
Le suivi n'a pas attendu la disparition du cookie. Dès que les grands navigateurs ont signalé que les cookies tiers devenaient peu fiables, l'industrie de la publicité et de la mesure a déplacé son dispositif vers des méthodes qui n'en dépendent pas. Certaines sont plus anciennes que le débat sur les cookies et ont simplement gagné en importance. D'autres ont été conçues précisément pour survivre dans un monde sans cookies tiers. Le tableau ci-dessous cartographie les principales : ce que fait chacune, avec quelle facilité un visiteur peut la voir ou la bloquer, et si elle exige toujours un consentement selon les règles européennes.
| Méthode | Comment ça marche | Visibilité et blocage | Consentement requis pour suivre ? | Principal compromis |
|---|---|---|---|---|
| Cookies first-party | Déposés par le site que vous visitez, pour mémoriser votre session et vos préférences | Visibles dans les réglages du navigateur, faciles à effacer | Non si strictement nécessaires, oui s'ils servent à suivre | Limités à un seul site, ne vous suivent pas sur le web |
| Cookies tiers | Déposés par un autre domaine présent sur la page pour vous suivre de site en site | Bloqués par défaut sur Safari, isolés par site sur Firefox, effaçables sur Chrome | Oui | De moins en moins fiables à mesure que les navigateurs les bloquent |
| Fingerprinting (empreinte numérique) | Combine de petits détails techniques de votre appareil en un identifiant quasi unique | Presque invisible, très difficile à bloquer | Oui | Identifie sans rien stocker, mais se dégrade quand les navigateurs en révèlent moins |
| Suivi côté serveur | Les données partent vers des tiers depuis le serveur du site, pas depuis votre navigateur | Invisible pour le visiteur, non bloqué par les réglages ou les bloqueurs | Oui | Change l'endroit de la collecte, pas l'obligation de consentement |
| Pixels et balises web | Une image ou un script invisible qui signale l'ouverture ou la vue d'un contenu | Invisibles, seulement en partie blocables | Oui | Courants dans les emails et la publicité, relient l'activité à un profil |
| Graphes d'identité, CDP, data clean rooms | Rapprochent les données first-party entre entreprises via des identifiants partagés comme les emails hachés | Invisible pour le visiteur | Oui | Rapprochement puissant, concentre les données personnelles |
| Identité opérateur et télécom | Un identifiant pseudonyme dérivé de votre connexion mobile, avec consentement, plutôt que de votre navigateur | Présenté via une bannière de consentement, géré dans un hub central | Oui, opt-in explicite | Européen et fondé sur le consentement, mais lie l'identité à votre connexion réseau |
| Ciblage contextuel | Affiche des publicités selon le contenu de la page, pas selon la personne | Rien à bloquer, ne construit aucun profil personnel | Pas de données personnelles, donc pas de consentement de suivi requis | Moins précis que le profilage, mais respectueux de la vie privée |
Le fingerprinting : suivre sans rien stocker
Le fingerprinting (empreinte numérique) identifie un visiteur sans rien stocker sur son appareil. Au lieu de laisser un cookie, un script lit des dizaines de petits détails techniques que votre navigateur révèle automatiquement : la taille de votre écran, votre fuseau horaire, votre langue, votre système d'exploitation, les polices installées, et la manière dont votre carte graphique dessine une image via les fonctions canvas et WebGL. Pris isolément, aucun de ces détails ne vous identifie. Combinés, ils forment une signature souvent unique à votre appareil précis.
En pratique, la fiabilité de la méthode dépend de ce qu'un site donné est autorisé à lire. Plus il collecte de détails, plus la combinaison obtenue est rare, et plus il peut reconnaître avec assurance le même appareil lors d'une visite ultérieure ou sur un autre site. Une empreinte suffisamment riche peut isoler un visiteur au sein d'une très large foule, sans jamais rien stocker sur son appareil.
Le fingerprinting est difficile à voir et difficile à fuir. Un cookie peut être inspecté, bloqué ou supprimé. Une empreinte se calcule à partir d'informations que votre navigateur doit partager pour afficher les pages correctement : il n'y a aucun fichier à retirer. Les éditeurs de navigateurs ont réagi en révélant moins. Google Chrome a réduit le niveau de détail de la chaîne User-Agent envoyée par les navigateurs, en plaçant les parties les plus identifiantes derrière une fonction appelée Client Hints que les sites doivent demander. Safari et Firefox appliquent leurs propres mesures anti-fingerprinting. L'effet est de rendre le fingerprinting plus difficile et moins stable, pas de l'arrêter.
Les navigateurs ne sont pas la seule force en jeu, et l'industrie publicitaire pousse dans le sens inverse. En décembre 2024, Google est revenu sur une position qu'il tenait depuis des années et a commencé à autoriser les annonceurs de ses plateformes à recourir au fingerprinting, une décision que le régulateur britannique de la protection des données, l'Information Commissioner's Office, a publiquement qualifiée d'irresponsable. L'étape concrète arrive le 3 août 2026, date à laquelle Google commencera à utiliser les adresses IP qu'il reçoit déjà pour identifier les appareils à des fins de mesure et de personnalisation publicitaire dans l'Espace économique européen, au Royaume-Uni et en Suisse, un usage auquel ces adresses n'étaient pas destinées jusqu'ici. Une adresse IP associée aux signaux passifs que livre un navigateur constitue une empreinte exploitable, et elle persiste après l'effacement des cookies. Ainsi, alors même que les navigateurs en révèlent moins, la plus grande plateforme publicitaire du web s'est organisée pour en lire davantage.
Le suivi côté serveur : déplacer la collecte hors de vue
Dans l'ancien modèle, le suivi se passait dans votre navigateur. Une balise d'un outil de mesure ou d'une régie se chargeait sur la page et envoyait les données directement de votre appareil vers cette entreprise. Le suivi côté serveur change l'itinéraire. Le site collecte d'abord les données, sur son propre serveur, puis les transmet aux tiers depuis là. Pour votre navigateur, tout se passe comme si vous ne parliez qu'au site que vous avez choisi de visiter.
Pour les entreprises qui le mettent en place, le suivi côté serveur présente des attraits concrets. Il est plus fiable, parce que les bloqueurs de publicité et les protections du navigateur ne peuvent pas intercepter un transfert qui se fait de serveur à serveur. Il peut être plus rapide, car moins de scripts s'exécutent dans le navigateur du visiteur. Et il donne au site plus de contrôle sur ce qui sort exactement et vers où.
La question de la vie privée est celle qu'on oublie facilement. Le suivi côté serveur change l'endroit où les données sont collectées, pas le fait que le visiteur y ait consenti. Si un site transmet le comportement d'un visiteur à une plateforme publicitaire depuis son serveur, cela reste du suivi, et cela exige le même consentement qu'il aurait fallu obtenir dans le navigateur. Ce qui change, c'est que le visiteur ne peut plus le voir, et que les défenses habituelles du navigateur ne s'appliquent pas. La responsabilité repose alors presque entièrement sur l'exploitant du site : être honnête sur ce qu'il collecte et demander le consentement correctement.
Données first-party et « consenties »
Les cookies tiers devenant peu fiables, beaucoup d'entreprises sont revenues aux données qu'elles collectent directement auprès de leurs propres clients : adresses email, historique d'achat, activité du compte, inscriptions à la newsletter. On parle souvent de données first-party (de première partie), présentées comme l'alternative respectueuse de la vie privée. Collectées et utilisées honnêtement, avec un consentement clair, elles peuvent l'être tout à fait.
La complication apparaît quand ces données first-party servent à suivre les gens d'une entreprise à l'autre. Deux sociétés peuvent rapprocher leurs fichiers clients en comparant des adresses email hachées, un procédé qui transforme chaque adresse en une chaîne brouillée. On décrit parfois le hachage comme rendant la donnée anonyme. Il n'en est rien. Un email haché correspond toujours à une personne précise, et le rapprocher d'une entreprise à l'autre reconstitue le profil entre sites que les cookies tiers créaient autrefois. Les customer data platforms (CDP) et les data clean rooms sont les outils qui réalisent ce rapprochement à grande échelle.
La leçon, c'est que « first-party » décrit où la donnée a été collectée, pas à quel point son usage est respectueux. Une donnée recueillie avec un consentement réel, pour une finalité que le client a comprise, repose sur des bases solides. La même donnée injectée dans un système de rapprochement dont le client n'a jamais entendu parler ne repose sur rien de tel, quoi que suggère l'étiquette first-party.
Une approche européenne plus récente contourne complètement le navigateur, et c'est à nos yeux la plus préoccupante. Utiq, un service d'identité soutenu par les grands opérateurs télécoms européens, génère un identifiant publicitaire pseudonyme à partir de votre connexion mobile plutôt qu'à partir d'un cookie ou d'une empreinte. Lorsque vous visitez un site partenaire via un réseau partenaire et que vous acceptez sur l'écran de consentement d'Utiq, votre opérateur confirme votre connexion et renvoie un identifiant stable que les annonceurs reconnaissent d'un site à l'autre. Le dispositif a déjà une réelle ampleur : Utiq déclare toucher plus de 55 millions d'identifiants consentis en Europe, plus d'un tiers des utilisateurs mobiles dans ses marchés, et en juin 2026 la plateforme publicitaire The Trade Desk l'a intégré à l'échelle de la région. L'entreprise prend soin de bâtir le dispositif autour d'un consentement explicite et d'offrir un endroit central pour le retirer, et cela compte. Mais un consentement recueilli via une bannière de plus, au moment où l'on clique surtout pour la faire disparaître, est une justification bien mince au regard de ce qui se joue en dessous. L'identification est passée de quelque chose de stocké sur votre appareil, que vous pouvez voir et supprimer, à votre connexion elle-même, que vous ne pouvez ni inspecter, ni effacer, ni désactiver sans vous déconnecter. C'est une autre forme de suivi, intégrée à l'infrastructure plutôt que posée par-dessus, et dès lors que l'identité réside là, l'idée même de naviguer en privé commence à perdre son sens. Aussi bien intentionné que soit le mécanisme de consentement, nous pensons que c'est une direction à laquelle il faut résister, et les défenseurs de la vie privée qui tirent la sonnette d'alarme ont raison.
Quatre idées reçues à abandonner
« Si nous n'utilisons pas de cookies, nous n'avons pas besoin de consentement. » C'est le malentendu le plus coûteux. Les règles européennes rattachent le consentement à l'acte de suivi, pas au cookie en tant que technologie. Le Comité européen de la protection des données l'a confirmé dans ses lignes directrices sur le champ d'application technique des règles ePrivacy, adoptées en 2024, qui précisent que l'exigence de consentement couvre le fingerprinting, les pixels de suivi et les techniques similaires, pas seulement les cookies. La CNIL est explicite : « le résultat du calcul d'une empreinte unique du terminal » est un traceur soumis au consentement, au même titre qu'un cookie.
« Le fingerprinting est anonyme. » Une empreinte ne contient aucun nom, il est donc tentant de la croire anonyme. En pratique, elle isole un appareil avec une grande fiabilité, ce qui est l'inverse de l'anonymat. Une donnée capable de distinguer durablement une personne de toutes les autres est une donnée personnelle, quelle que soit sa composition.
« Les cookies tiers ont disparu, le problème est réglé. » Chrome a conservé les cookies tiers, et les autres navigateurs les bloquent depuis des années. Surtout, le suivi que ces cookies assuraient se poursuit par les méthodes décrites plus haut. Réduire le problème au cookie, c'est passer à côté de l'endroit où le suivi a réellement lieu aujourd'hui.
« Le suivi côté serveur est privé par conception. » Déplacer la collecte vers le serveur masque le suivi au visiteur et aux bloqueurs, mais ne supprime pas l'obligation de transparence et de consentement. Au contraire, cela relève la barre, car le visiteur n'a aucun moyen de voir ce qui est collecté.
Ce que cela implique pour votre site
Nul besoin de devenir ingénieur en protection de la vie privée pour agir raisonnablement. Quelques principes couvrent l'essentiel.
Sachez ce que votre site exécute réellement. La plupart des dispositifs de suivi arrivent par des balises, des extensions et des outils marketing ajoutés au fil du temps, souvent par des personnes différentes. La première étape est un inventaire simple : ce qui se charge sur vos pages, quelles données chaque outil collecte, et où ces données partent. On ne peut pas encadrer ce qu'on n'a pas recensé.
Traitez le consentement comme une question de finalité, pas de technologie. La question n'est pas de savoir si vous utilisez des cookies, mais si vous suivez des personnes. Si c'est le cas, il vous faut leur consentement, que le suivi passe par un cookie, une empreinte, un pixel ou votre propre serveur. Concevoir le consentement autour des finalités plutôt que des types de cookies est à la fois plus honnête et plus durable.
Soyez transparent sur la collecte côté serveur. Si des données quittent votre serveur vers un tiers, vos visiteurs ne peuvent pas le voir : le devoir de le déclarer repose entièrement sur vous. Tout ce que vous auriez dû déclarer dans le navigateur, vous devez encore le déclarer depuis le serveur.
Sachez où commence le conseil juridique. Quelles lois s'appliquent à vous, et ce qu'elles exigent exactement, dépend de l'endroit où vous exercez votre activité et de qui sont vos visiteurs. Ce sont des questions pour un délégué à la protection des données ou un conseil qualifié. Ce guide explique les mécanismes pour que cette conversation parte d'une image claire.
Questions fréquentes
Les cookies tiers ont-ils vraiment disparu ?
Pas entièrement. Safari et Firefox les bloquent par défaut depuis des années, mais Chrome, qu'utilise l'essentiel du web, a décidé en octobre 2025 de les conserver derrière des réglages utilisateur. Surtout, le suivi que ces cookies assuraient s'est largement déplacé vers d'autres méthodes, dont le fingerprinting et le suivi côté serveur : le sort du cookie n'est plus le cœur du sujet.
Ai-je encore besoin d'une bannière de consentement si je n'utilise pas de cookies ?
Dans la plupart des cas, oui. Selon les règles européennes, le consentement est requis pour le suivi, pas spécifiquement pour les cookies. Le Comité européen de la protection des données et la CNIL confirment tous deux que des techniques comme le fingerprinting et les pixels de suivi exigent un consentement au même titre que les cookies. Retirer les cookies ne supprime pas l'obligation.
Le fingerprinting est-il légal ?
Le fingerprinting est considéré comme un traceur au regard des règles européennes, ce qui signifie que l'utiliser pour suivre des personnes exige en général leur consentement. Qu'un usage précis soit licite dépend de la finalité et des lois qui s'appliquent à votre activité, ce qui relève de votre délégué à la protection des données ou de votre conseil juridique.
Le suivi côté serveur est-il plus respectueux de la vie privée ?
Pas en soi. Le suivi côté serveur change l'endroit où les données sont collectées, en le déplaçant du navigateur vers le serveur du site, mais ne change pas le fait qu'un consentement soit requis. Il rend aussi le suivi invisible pour le visiteur, ce qui augmente votre responsabilité de transparence au lieu de la réduire.
Que faire à la place des cookies tiers ?
Commencez par recenser ce que votre site collecte déjà, puis ne gardez que ce qui sert une finalité claire à laquelle vos visiteurs ont consenti. Les données first-party recueillies avec un consentement réel, et le ciblage contextuel, qui affiche des publicités selon le contenu de la page plutôt que selon des profils personnels, sont les options les plus respectueuses de la vie privée. Associez une collecte honnête à une demande de consentement honnête.
Le suivi n'est pas parti avec le cookie
La fin du cookie tiers n'allait jamais être la fin du suivi. Elle a incité l'industrie à déplacer le suivi vers des méthodes plus difficiles à voir, ce qui rend leur compréhension plus importante, pas moins. L'objectif concret, pour toute entreprise, n'est pas de suivre autant que la technologie le permet, mais de collecter ce dont vous avez réellement besoin, avec un consentement que vos visiteurs ont effectivement donné, par des méthodes que vous pouvez expliquer.
Cela concerne aussi la façon dont les machines lisent votre site, pas seulement la façon dont les gens y sont suivis. Nous traitons ce versant dans Votre site est-il prêt pour les agents IA ? Si vous voulez un regard indépendant sur ce que votre site collecte, sur la façon dont les visiteurs y sont suivis et sur l'écart entre votre dispositif et ce que vous leur annoncez, notre service de conseil et accompagnement est fait pour cela. Pour en discuter, contactez-nous.
Keroberos est un cabinet de conseil en technologies web qui accompagne les entreprises dans le choix de leur plateforme, livre des projets WordPress et Drupal, et fournit des prestations en régie pour les équipes de développement. Pour échanger sur le suivi et la confidentialité de votre site, contactez-nous.